Oracle PeopleSoft sotto attacco: una falla critica colpisce oltre 100 organizzazioni
Una vulnerabilità di massima gravità nei software gestionali ha permesso furti di dati su larga scala, con le università tra i bersagli più colpiti.
I software gestionali che fanno girare buste paga, anagrafiche e dati del personale sono un bersaglio prezioso: concentrano in un solo sistema le informazioni più sensibili di un'organizzazione. Lo conferma una campagna emersa intorno al 10 giugno, che ha sfruttato una vulnerabilità critica in Oracle PeopleSoft, una delle piattaforme gestionali più diffuse.
Una falla di gravità massima
La falla, identificata come CVE-2026-35273, ha il punteggio di gravità massimo, 9,8 su 10: permette l'esecuzione di codice da remoto senza alcuna autenticazione, bastano richieste di rete.
Esecuzione di codice da remoto senza alcuna autenticazione: bastano richieste di rete.
A sfruttarla è stato il gruppo estorsivo ShinyHunters, attivo da fine maggio fino a quando Oracle ha riconosciuto pubblicamente il problema. Gli analisti di Mandiant hanno avvisato oltre 100 organizzazioni con sistemi vulnerabili; circa il 68% appartiene al mondo dell'istruzione superiore, soprattutto negli Stati Uniti.
L'istruzione superiore nel mirino
Tra le vittime confermate c'è l'Università di Nottingham, con circa 454.600 record di studenti attuali ed ex finiti, secondo le ricostruzioni, sul sito di estorsione del gruppo. Gli aggressori hanno usato script automatici per colpire molti bersagli in serie. È l'ennesimo promemoria che applicare tempestivamente le patch sui sistemi esposti a Internet non è un dettaglio tecnico, ma la prima linea di difesa.
